「GitHub の MCP を入れて」でエージェントが古い参照実装を入れていないか確かめる（MCPhantom）

何が見つかったか（Glow Labs の調査、2026-11-02）

• 古い MCP サーバーが入ったセッションの98%は、利用者が名前を指定していないのにエージェントが学習データから名前を補っていた（残り2%は利用者の指定）
• Claude Code・Cursor・Codex CLI・Claude Cowork・Claude のチャットのいずれでも、Anthropic・OpenAI・xAI のどのモデルでも起きていた
• Anthropic が MCP 公開時に作った参照サーバー群に高深刻度の脆弱性が4件あり、Puppeteer サーバーには、プロンプトインジェクションだけで任意のコマンドを実行できるリモートコード実行がある。リポジトリはアーカイブ済みで、修正は出ない
• 2025-07 以降のダウンロードは合計約1,735万回（server-github 約527万、server-postgres 約431万、server-slack 約320万、server-puppeteer 約149万、server-brave-search 約146万 など）
• npx で起動されるので依存ファイルに載らず、脆弱性に CVE もない。SCA やソフトウェア台帳には出てこず、見つかるのは端末の上だけ

手順

1. MCP 設定ファイルを検索する
   bash

   grep -rn "@modelcontextprotocol/server-" \
     ~/.claude.json ~/.claude/ .mcp.json ~/.cursor/mcp.json ~/.codex/config.toml 2>/dev/null

   見つかったら、server-github・server-postgres・server-slack・server-puppeteer・server-brave-search・server-google-maps・server-gitlab・server-gdrive・server-redis などが対象

2. 公式のサーバーに置き換える。GitHub ならリモートの https://api.githubcopilot.com/mcp/、ローカルなら Docker イメージ ghcr.io/github/github-mcp-server（npm の server-github は 2025-04 でサポート終了）
3. 今後エージェントに導入させるときは「サービス提供元の公式 MCP サーバーを、公式ドキュメントで確認してから入れて」と指示に書く。CLAUDE.md／AGENTS.md に入れておいてもよい
4. 会社なら、許可する MCP サーバーを managed 設定で限定する（MCP の認可を IdP に寄せる: Enterprise-Managed Authorization（EMA）と managed-mcp）

注意点

• 非推奨になったパッケージは npm の検索には出なくなるが、npx では警告が出るだけでそのまま入る
• 悪用はまだ確認されていない。ただし修正も出ない
• 調査は「古いサーバーが入った・提案されたセッション」だけを見たもので、全セッションのうち何割で起きるかは示していない
• 同じ問題は MCP 以外のパッケージ名にも起きうる。エージェントが提案した依存は名前と提供元を確かめる

出典

• @ai_secu · 2026-11-04
• Glow Labs: glow.io
• Help Net Security（2026-11-03）: helpnetsecurity.com
• GitHub 公式 MCP サーバー: github.com